Nadzor rijetko stvara problem zato što organizacija nema dokumente. Problem nastaje kada se ne može brzo pokazati koji dokument dokazuje koju obvezu, je li i dalje važeći te tko potvrđuje njegovu točnost. Najbolje prakse upravljanja dokazima pretvaraju razasute datoteke, zapise sustava i procedure u provjerljiv lanac između regulatornog zahtjeva, provedene kontrole i stvarnog stanja u organizaciji.
Za subjekte obuhvaćene Zakonom o kibernetičkoj sigurnosti, Uredbom o kibernetičkoj sigurnosti i NIS2 obvezama, dokaz nije administrativni prilog koji se prikuplja neposredno prije nadzora. On je operativni trag upravljanja rizicima. Ako taj trag nije strukturiran, i kvalitetno provedena sigurnosna mjera može ostati nedokaziva.
Dokaz nije isto što i dokument
Prvi korak je razlikovati dokumentaciju od dokaza. Politika upravljanja pristupima pokazuje da je organizacija definirala pravilo. Izvod iz sustava upravljanja identitetima, zapis redovitog pregleda ovlasti i potvrda uklanjanja pristupa bivšem zaposleniku pokazuju da se pravilo primjenjuje.
Najvjerodostojniji dokaz obično povezuje tri razine: propisanu obvezu, internu kontrolu i zapis provedbe. Primjerice, zahtjev za upravljanje incidentima treba biti povezan s procedurom odgovora na incidente, evidencijom prijavljenih događaja, zapisnicima analize i dokazima o poduzetim mjerama. Samo postojanje procedure nije dovoljno ako nema potvrde da je postupak stvarno proveden.
Ova razlika mijenja način rada. Umjesto pitanja imamo li dokument, odgovorna osoba treba postaviti pitanje možemo li njime dokazati djelotvornost kontrole za određeno razdoblje.
Najbolje prakse upravljanja dokazima počinju mapiranjem obveza
Prikupljanje bez strukture brzo stvara digitalno spremište u kojem su datoteke dostupne, ali teško upotrebljive. Zato svaku obvezu treba povezati s jednom ili više kontrola, vlasnikom kontrole, očekivanim dokazom i učestalošću provjere.
Dobra mapa dokaza ne mora biti nepotrebno složena. Za svaku stavku trebala bi jasno odgovoriti na nekoliko pitanja: što se dokazuje, kojem zahtjevu to pripada, tko dostavlja dokaz, odakle potječe, koliko dugo vrijedi i tko potvrđuje njegovu prihvatljivost. Kada se to definira unaprijed, priprema za internu ili vanjsku provjeru postaje postupak provjere statusa, a ne hitno traženje datoteka po e-pošti.
Važno je izbjeći pristup jedan dokument za sve. Krovna politika može biti relevantna za više područja, ali pojedina kontrola često zahtijeva specifičniji operativni zapis. Preširoko povezivanje daje privid pokrivenosti, dok detaljnija provjera može otkriti prazninu.
Odredite vlasnika, a ne samo lokaciju datoteke
Dokaz bez vlasnika s vremenom postaje zastario. Vlasnik ne mora nužno biti osoba koja je datoteku učitala, nego osoba odgovorna za kontrolu koju dokaz podupire. Za upravljanje ranjivostima to može biti voditelj infrastrukture, a za edukaciju zaposlenika osoba odgovorna za ljudske potencijale uz koordinaciju informacijske sigurnosti.
Vlasnik treba znati kada se dokaz obnavlja, koje promjene utječu na njegovu valjanost i kome prijaviti odstupanje. Time se odgovornost premješta iz administrativne zone u stvarni proces upravljanja kontrolama.
Standardizirajte kvalitetu i metapodatke dokaza
Datoteka nazvana finalna_verzija_novo.pdf nije upravljački mehanizam. Bez dosljednih metapodataka teško je utvrditi odnosi li se dokaz na aktualno razdoblje, koju lokaciju ili sustav pokriva te je li odobren prema internim pravilima.
Uz svaki dokaz korisno je evidentirati datum nastanka, razdoblje na koje se odnosi, izvor, vlasnika, povezanu kontrolu, status pregleda i datum sljedeće obnove. Kada je riječ o izvozu iz sigurnosnih alata, treba zabilježiti i parametre izvještaja kako bi se kasnije moglo razumjeti što je točno obuhvaćeno.
Kvaliteta se procjenjuje prema relevantnosti, potpunosti, aktualnosti i pouzdanosti izvora. Snimka zaslona može biti dovoljna za jednokratnu potvrdu određene postavke, ali za kontinuiranu kontrolu često je snažniji automatizirani zapis iz izvornog sustava. S druge strane, automatizirani izvoz bez poslovnog konteksta ne dokazuje nužno da je odstupanje pregledano i riješeno. Vrsta dokaza ovisi o riziku i prirodi kontrole.
Uspostavite verzioniranje i kontrolu pristupa
U reguliranom okruženju posebno je važno moći utvrditi koja je verzija dokumenta bila na snazi u određenom trenutku. Ako se politika izmijeni nakon incidenta ili nalaza revizije, prethodna verzija ne smije nestati bez traga. Povijest izmjena, odobrenja i datum stupanja na snagu ključni su za dokazivanje upravljanja.
Jednako vrijedi za pristup dokazima. Revizijski materijali mogu sadržavati podatke o arhitekturi, ranjivostima, korisničkim ovlastima, incidentima ili dobavljačima. Široko dijeljenje radi praktičnosti povećava sigurnosni rizik. Primjenjujte pristup prema ulozi, najmanje potrebne ovlasti i redoviti pregled prava pristupa.
Za osjetljive skupove dokaza potrebno je definirati i način pohrane, enkripciju te pravila razmjene s vanjskim revizorima ili nadležnim tijelima. Sigurnost samog spremišta dokaza dio je vjerodostojnosti procesa.
Uvedite redovitu provjeru, ne samo godišnje prikupljanje
Najčešća slabost je godišnji ciklus u kojem se dokazi prikupljaju neposredno prije procjene. Taj model stvara pritisak, povećava rizik pogreške i prikriva činjenicu da je kontrola mjesecima možda bila neprovedena ili nedovoljno dokumentirana.
Učestalost provjere treba pratiti rizik. Evidencije sigurnosnih kopija, zapisi nadzora i status kritičnih ranjivosti mogu zahtijevati mjesečnu ili čak češću provjeru. Politike, procjene rizika i programi edukacije imaju drukčiji ritam, ali i za njih treba unaprijed definirati datum pregleda.
Kada dokaz nedostaje, nije dovoljno označiti ga kao nepotpun. Potrebno je otvoriti nesukladnost, odrediti vlasnika korektivne aktivnosti, rok i dokaz zatvaranja. Tako upravljanje dokazima postaje izvor stvarnog poboljšanja, a ne arhiva problema.
Kombinirajte automatizaciju s ljudskom stručnom prosudbom
Automatizacija može znatno smanjiti ručni rad: prikupljati zapise iz sustava, prepoznati zastarjele dokumente, predložiti povezanost dokaza s kontrolama i upozoriti na praznine. AI analiza dokumentacije dodatno ubrzava početni pregled velikog broja procedura, izvještaja i zapisa.
Međutim, automatizacija ne može sama potvrditi da je kontrola primjerena poslovnom riziku ili da dokaz zaista odgovara regulatornom zahtjevu. Sustav može otkriti da nedostaje zapis o testiranju oporavka, ali stručna osoba mora procijeniti je li test obuhvatio kritične usluge, jesu li rezultati prihvatljivi i koje mjere slijede.
Praktičan pristup je automatizirati prikupljanje, klasifikaciju i praćenje rokova, a stručnu procjenu usmjeriti na iznimke, kvalitetu dokaza i odluke o riziku. ITrevizija.hr primjenjuje upravo takav model kroz AI upravljanje i analizu dokaza, uz povezivanje nalaza s procjenom usklađenosti i planom aktivnosti.
Mjerite spremnost kroz otvorene praznine
Broj učitanih dokumenata nije pokazatelj zrelosti. Korisniji pokazatelji su udio kontrola s aktualnim i pregledanim dokazom, broj dokaza kojima je istekao rok, otvorene nesukladnosti prema razini rizika te prosječno vrijeme njihova zatvaranja.
Uprava ne treba pregledavati svaku datoteku, ali treba imati jasan pregled područja u kojima organizacija ne može dokazati provedbu ključnih mjera. Takav prikaz omogućuje donošenje odluka o prioritetima, resursima i prihvatljivosti preostalog rizika.
Kontinuirana spremnost ne znači da je svaka kontrola savršena u svakom trenutku. Znači da organizacija zna gdje postoje odstupanja, tko ih rješava, do kada i kojim će se dokazom potvrditi zatvaranje. Upravo ta disciplina čini razliku između formalne dokumentacije i dokazive usklađenosti koja može izdržati nadzor.